Ransomware u 2026.: napad počinje na prijavi, ne na vatrozidu

Najčešće se prijavi. Ne provali kroz vatrozid, ne traži nula-dan ranjivost — uzme tuđu lozinku i uđe na vrata.

Napad na Change Healthcare u veljači 2024., pripisan skupini BlackCat/ALPHV, započeo je na jednom korisničkom računu koji nije imao višefaktorsku provjeru. Iz te jedne točke srušen je platni sustav američkog zdravstva na tjedne.

Ukupan financijski teret za UnitedHealth Group procijenjen je na 2,3 do 2,45 milijarde dolara, uključujući otkupninu od 22 milijuna dolara.

To je cijela poanta ovog teksta. Ransomware je posljedica, a ne početak. Početak je prijava.

Zato što se napad skratio s tjedana na minute. Ono što je nekad tražilo dane ručnog rada danas radi automatika.

Yubico u svom dokumentu o ransomwareu navodi simulacije u kojima cijeli lanac — od početnog pristupa do izvlačenja podataka — traje svega 25 minuta. To je simulacija, ne mjerenje na stvarnim napadima, i tako je i treba čitati.

Ali smjer je nesporan: generativni modeli pišu poruke bez gramatičke greške, automatika pretražuje mete i sama povisuje ovlasti. Obrana koja računa na to da će netko primijetiti čudan e-mail u ponedjeljak ujutro računa na vrijeme kojeg više nema.

Organizirane skupine koje ransomware iznajmljuju kao uslugu. Model se zove Ransomware-as-a-Service i podijeljen je u dva sloja.

Jedni pišu kod, drže infrastrukturu za naplatu i nude podršku. Drugi — takozvani partneri — taj alat zakupe, provale, izvuku podatke i pregovaraju o otkupnini. Zarada se dijeli.

Posljedica je da napad više ne traži vrhunsko tehničko znanje. Prema izvještaju GuidePoint Securityja, među najaktivnijim skupinama 2024. i 2025. su RansomHub, Cl0p, Akira i Qilin.

Samo Qilin je u prvih devet mjeseci 2025. prijavio 701 žrtvu, prema Industrial Cyberu. Emsisoft u istom razdoblju bilježi rast broja aktivnih skupina od otprilike 20 do 30 % u odnosu na ljeto 2024.

Otkupnina je najmanja stavka. Trošak je zastoj, oporavak i ono što se ne vrati.

Prosječan trošak oporavka od ransomwarea 2024. bio je 5,13 milijuna dolara po napadu, prema PurpleSecu — u to ulazi otkupnina, zastoj poslovanja, izgubljena prodaja, operativni troškovi i pravni troškovi.

Globalni prosječni trošak povrede podataka 2025. iznosi 4,44 milijuna dolara, prema IBM-ovu izvještaju Cost of a Data Breach.

Primjeri koji te prosjeke čine opipljivima: bolnički sustav Ascension pogođen je u svibnju 2024., a napad je zahvatio podatke oko 5,6 milijuna osoba. Dječja bolnica Lurie u Chicagu odbila je otkupninu od 3,7 milijuna dolara, nakon čega su podaci gotovo 791.000 ljudi javno objavljeni.

Uglavnom ne u cijelosti. Brojke to govore jasnije od bilo koje preporuke.

Nakon plaćanja se u prosjeku vrati oko 60 % podataka, a samo 4 % žrtava dobije sve natrag, prema podacima koje navodi Bright Defense.

Tržište je to primijetilo: udio žrtava koje plaćaju pao je s 41 % u 2024. na 37 % u 2025.

Postoji i sloj koji nema veze s podacima. Ako je primatelj uplate pod mjerama ograničavanja, plaćanje nosi vlastitu pravnu izloženost — neovisnu o šteti od samog napada. To se provjerava prije uplate, s odvjetnikom.

Ne najveći, nego oni kod kojih je omjer zarade i truda najbolji. Napadači biraju kao i svaki drugi posao.

Tipičan profil je organizacija s ozbiljnim prihodom i složenim okruženjem koje je teško u cijelosti osigurati: energetika, zdravstvo, odvjetnički uredi, graditeljstvo, obrazovanje i lokalna uprava.

Zajednička crta nije veličina nego zrelost: nema stalnog ulaganja u sigurnost, zakrpe kasne, a prijava još uvijek stoji na lozinci.

U hrvatskom kontekstu tome treba dodati jedno: dio tih sektora istovremeno su i obveznici Zakona o kibernetičkoj sigurnosti, pa im ista slabost nosi i regulatorni rizik.

Nijedan ne spominje ransomware. Nekoliko njih traži mjeru koja mu zatvara najčešći ulaz, i tu su razlike važne.

Zakon o kibernetičkoj sigurnosti (NN 14/2024), čl. 30. st. 1. podstavak 10. — višefaktorska provjera autentičnosti navedena je među mjerama, ali odredba završava riječima „prema potrebi“. To nije bezuvjetna obveza i ne treba je tako prodavati.

Uredba o kibernetičkoj sigurnosti (NN 135/2024), Prilog II., mjera 5.3 — ovdje ograde nema. Mjera nosi oznaku A, dakle obvezujuće, na osnovnoj, srednjoj i naprednoj razini, i imenuje gdje: „Primjena MFA je potrebna na VPN pristupu, SaaS alatima dostupnim s Interneta itd.“

ZSIS, kontrola DID-007 — samoprocjena ocjenjuje MFA ljestvicom od 1 do 5, a prag je ≥ 4 na srednjoj i naprednoj razini. Ocjena 3 opisuje stanje „imamo MFA, ali postoje iznimke“ — i pada.

DORA, čl. 9. st. 4. t. (d) — za financijske subjekte pod nadzorom HANFA-e i HNB-a. Hrvatski tekst traži „pouzdane mehanizme autentifikacije“; kazna po NN 136/2024 ide do 3 % osnovice.

Radi poštenja i u drugom smjeru: GDPR čl. 32. MFA ne traži — riječ „autentifikacija“ se u njemu ne pojavljuje.

Zatvara jedan put, i to onaj kojim se najčešće ulazi. Ne zatvara sve puteve, i to treba reći prije nego što netko potpiše.

Logika je jednostavna. Ako napadač ne može upotrijebiti ukradenu lozinku, ne može se prijaviti kao Vaš zaposlenik. Ako se ne može prijaviti, ne može iznutra postaviti ransomware ni proširiti se mrežom.

Zato je Change Healthcare toliko poučan slučaj: ondje nije zakazala tehnologija koju nisu imali, nego mjera koju su imali gotovo svugdje.

Ali ransomware ima i druge ulaze — nezakrpana ranjivost, privitak koji korisnik sam pokrene, kompromitirani dobavljač. Ključ ondje ne pomaže.

Zato što se mogu presresti ili izmamiti. Sve što korisnik može pročitati i prepisati, može prepisati i na krivu stranicu.

Lažna stranica za prijavu traži lozinku i kod, korisnik ih upiše, a napadač ih u istoj sekundi proslijedi pravoj stranici. Kod je ispravan. Prijava prolazi.

Prema NIST-ovoj publikaciji SP 800-63, oznaku otpornosti na phishing nose samo dva oblika: PIV/pametna kartica i FIDO2/WebAuthn.

Razlika je u tome što se kod njih ne prenosi tajna. Ključ kriptografski potpisuje izazov i taj potpis vrijedi samo za pravu domenu. Lažna stranica ne dobije ništa upotrebljivo — a privatni ključ nikad ne napusti uređaj.

Fotografija: Yubico (službeni materijali).

Sve što se poslije ne stigne. Popis je kratak i nije nov — problem je što se odgađa dok ne zatreba.

• Zatvorite prijavu. Phishing-otporna provjera na povlaštenim računima, VPN-u i SaaS alatima dostupnima s Interneta — točno ono što imenuje mjera 5.3.
• Zakrpe bez iznimaka. Iznimka mora imati ime, rok i nekoga tko je preuzeo rizik.
• Sigurnosne kopije koje ste doista vratili. Kopija koju niste probali vratiti nije kopija nego pretpostavka. Zaštitite i sam sustav kopija — snažnom prijavom i odvojenim ovlastima.
• Znajte koji su podaci kritični. Ne može se štititi ono što nije popisano.
• Plan odgovora na incident, napisan unaprijed. Tko odlučuje, koga se zove, što se gasi.
• Educirajte ljude redovito. Jednokratna radionica prije tri godine ne vrijedi ništa.

Zaustaviti širenje i sačuvati dokaze — tim redoslijedom, i bez brzopletih poteza.

Prva pogreška je gašenje svega u panici. Time se često unište upravo tragovi koji poslije trebaju i istrazi i osiguravatelju.

• Aktivirajte tim za odgovor na incident i izolirajte zahvaćeno, ne cijelu mrežu naslijepo.
• Uključite odvjetnika s kojim ste prije napada dogovorili suradnju. Prvi dan nije trenutak za traženje pravne pomoći.
• Obavijestite nadležno tijelo u rokovima koji za Vas vrijede i provjerite obveze prema osiguravatelju.
• Ne dopustite da plaćanje bude prva opcija o kojoj se razgovara.

Ovo pišemo jer smo Yubico partner, a ne unatoč tome. Preprodavač koji prešuti granicu proizvoda izgubi povjerenje na prvom incidentu.

Ključ ne zamjenjuje sigurnosne kopije. Ako podaci budu šifrirani, vraća ih kopija, ne prijava.

Ključ ne krpa ranjivosti. Napad kroz nezakrpani poslužitelj ne prolazi kroz prijavu korisnika.

Ključ ne pokriva dobavljače. Ako partner s pristupom Vašem sustavu bude probijen, Vaša prijava nije bila slaba točka.

I ne pokriva sve Vaše prijave dok ga nemaju svi kojima treba. Jedan račun bez zaštite bio je dovoljan u slučaju Change Healthcare.

One koje ne možemo provjeriti do prvotnog izvora. To je pravilo koje na ovom sajtu vrijedi za svaki tekst.

U marketinškim materijalima kruže tvrdnje poput „smanjuje rizik za 99,9 %“ ili „povrat ulaganja 203 %“. Te brojke dolaze iz studija koje je naručio proizvođač i mi ih ne predstavljamo kao neovisan nalaz.

Isto vrijedi za projekcije globalne štete od kiberkriminala u bilijunima dolara — one počivaju na modelu jedne konzultantske kuće i nisu mjerenje.

Sve brojke u ovom tekstu imaju izvor naveden na dnu, s izdavačem. Ako neku ne možete provjeriti, javite nam i maknut ćemo je.